کلیدهای خصوصی eMudhra مرجع صدور گواهینامه هند به خطر افتاد - یکی از آنها شماره "4" بود.

کلیدهای خصوصی ساده و غم انگیزی که توسط یک مرجع صدور گواهینامه مستقر در هند استفاده می شود به خطر افتاده است، به این معنی که بیش از 60 میلیون گواهینامه صادر شده قابل اعتماد نیست و نیاز به یک کار پاکسازی گسترده دارد.

CA مورد نگرانی در این مورد eMudhra نام دارد که به صدور بیش از 60 میلیون گواهی دیجیتال برای کمک به ایجاد دنیایی از اعتماد دیجیتال می بالد.

این شرکت در عوض دنیا را به وحشت انداخته است.

اخبار خطاهای این شرکت روز سه شنبه در پستی توسط دنیس جکسون، یکی از اعضای تیم مهندسی رمزنگاری موزیلا منتشر شد.

او نوشت: "روز شنبه، 17 اکتبر، ساعت 20:06 UTC، موزیلا گزارشی از یکی از اعضای انجمن دریافت کرد مبنی بر اینکه کلیدهای خصوصی مرتبط با هشت گواهینامه میانی eMudhra به خطر افتاده است." این کلیدها می توانند به مهاجمان اجازه دهند تا گواهی های HTTPS جعلی را برای وب سایت هایی که کنترل نمی کنند صادر کنند.

یا همانطور که Cloudflare می گوید، "یک مهاجم می تواند یک گواهی جعلی برای هر دامنه ایجاد کند و از آن برای جعل هویت سرورها برای رهگیری یا تغییر ترافیک استفاده کند."

جکسون از آن زمان در مورد این حادثه و پاسخ توضیح داده است، که خوشبختانه موزیلا، کروم و اپل این مشکل را برطرف کردند تا مرورگرهای آنها به گواهینامه ها اعتماد نکنند - حداقل پس از نصب به روز رسانی توسط کاربران. او همچنین گزارش می‌دهد که eMudhra گواهی‌ها را لغو کرده است، و بسیاری از پروژه‌های FOSS را فهرست می‌کند که به‌روزرسانی‌هایی را منتشر کرده‌اند که به این معنی است که گواهی‌های eMudhra را نمی‌شناسند.

خوش آمدید، اما متأسفانه گواهی های امضا شده با این کلیدهای خصوصی هنوز وجود دارد و بسیاری از خدمات به آنها متکی هستند. سازندگان مرورگر برای شناسایی و رد گواهی های بد تنظیم شده اند. دیگرانی که به آنها تکیه کرده‌اند ممکن است چنین نباشند، و احتمالا باید در محیط‌های خود جستجو کنند تا ببینند آیا به گواهی‌هایی که توسط eMudhra امضا شده است یا خیر اعتماد دارند. توسعه دهنده جفری هانتلی توصیه هایی در مورد خودکارسازی این فرآیند ارائه کرده است.

در زمان نگارش این مقاله، eMudhra به سوالات The Register در مورد این حادثه و اقدامات امنیتی آن پاسخی نداده است.

سوال اخیر بسیار جالب است زیرا محقق امنیتی اسکات هلم گواهینامه های eMudhra را تجزیه و تحلیل کرد و یکی از کلیدهای خصوصی مورد استفاده آن "عدد 4" است.

هلم نوشت: "عددی نیست که با 4 شروع شود، یا عدد 4 به دنبال آن چند صد رقم تصادفی، فقط، 4... یکی دیگر 56 است و دیگری 115. می دانم، زیرا من همین الان همه آنها را از گواهینامه های عمومی آنها در لپ تاپم بازیابی کردم و کمتر از یک ثانیه طول کشید."

محققان دیگر کلیدهای خصوصی از جمله اعداد 66، 155، 156، 230 و 237 را یافته اند.

اینها کلیدهای بسیار ناکافی هستند، زیرا حدس زدن آنها آسان است و همه گواهینامه های صادر شده توسط eMudhra را مستعد حملات بی رحمانه می کند.

همانطور که Helme می گوید: "کلید خصوصی P-384 باید یک عدد تصادفی 384 بیتی باشد، که 2384 احتمال (یا تقریبا 10115) به شما می دهد، بنابراین هیچ کس هرگز آن را جستجو نمی کند."

این یک داستان در حال توسعه است و با در دسترس قرار گرفتن اطلاعات بیشتر، The Register آن را به روز می کند. ®